リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4283-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-45793:正規表現検証に失敗した GitHub OAuth トークンは、認証情報漏洩を引き起こす可能性があります(bsc#1271504)。
    - CVE-2026-59944:パストラバーサルおよびリンクフォローの問題により、ファイルが誰でも読み込み可能かつ実行可能になる可能性があります(bsc#1279898)。
    - CVE-2026-59946:パスセグメントのあるパッケージ bin エントリにより、意図しないホストファイル権限の変更が引き起こされる可能性があります(bsc#1271152)。
    - CVE-2026-59947:Composer 内のデバッグ出力でサニタイズされていない URL 認証情報を処理することにより、機密トークンが漏洩する可能性があります(bsc#1271130)。
    - CVE-2026-59948:Composer での依存関係の解決中にパッケージ名が検証されないと、パストラバーサル(bsc#1271123)が発生する可能性があります。
    - CVE-2026-84361:悪意のある Perforce ソース URL による任意のコードの実行(bsc#1278257)。

    php-composer2 の変更:

    - 2.2.30 へのバージョン更新:

     * 悪意のある Perforce URL を通じたコマンドインジェクションを修正しました(GHSA-rvx4-ffvw-m9q3)
     * さらにいくつかの場所で URL 埋め込まれたユーザー名/トークンをサニタイズします(#13045)
     * gitlab URLの一致を修正して、誤ったドメインへの資格情報漏えいの可能性を回避しました(#13042)

    - 最終変更予定の s390x での回帰を修正します(bsc#1271729)。

    - 2.2.29 へのバージョン更新:

     * パッケージ名を検証(GHSA-499r-g7pc-vmp9)
     * パストラバーサルに対してパッケージ bin パスを検証します(GHSA-gjfg-22fp-rrxx)
     * 冗長出力の URL 埋め込みユーザー名/トークンをサニタイズ(GHSA-g6xq-892h-64w3)
     * HTTP応答からのHTTPリダイレクトのみをフォローします(#12948)
     * 安全でない PHP バージョンでの phar メタデータのシリアル化解除を回避します(#12946)
     * HTTP 応答の JSON 解析エラーをサニタイズして、応答本文データの漏洩を回避します(#12959)
     * GitHub トークン検証を修正し、さらに緩和するようにしました(#12856)

    - 2.2.28 へのバージョン更新。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1941 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Composer は、PHP 言語の依存関係マネージャーです。2.2.29および2.10.2より前では、「.. パスセグメントを含むComposerパッケージbinエントリは、パッケージインストールディレクトリの外部で解決され、ComposerのバイナリインストールフローがComposerのインストール、更新、または要求中に既存のホストファイルを誰でも読み込み可能かつ実行可能なモードにchmodする可能性があります。この問題は、バージョン 2.2.29 および 2.10.2 で修正されています。
    (CVE-2026-59946)

    Composer は、PHP 言語の依存関係マネージャーです。2.2.29 と 2.10.2 より前では、Composer が -vvv デバッグ冗長性で実行されている場合、AuthHelper、Url::sanitize、ProcessExecutor がユーザー名のみの URL 認証情報をサニタイズしなかったため、出力デバッグのために、リポジトリまたはパッケージ URL のユーザー名スロットに埋め込まれた認証情報(https://TOKEN@host/ の GitHub Personal Access Token など)が印刷される可能性があります。この問題はバージョン 2.2.29および 2.10.2で修正されています。(CVE-2026-59947)

    Composer は、PHP 言語の依存関係マネージャーです。2.2.29および2.10.2以前では、Packagist.org またはPrivate Packagist以外の信頼できないリポジトリからの悪意を持って作成されたパッケージにより、依存関係解決の結果が書き込まれたりインストールされたりする前に正しく検証されない無効なパッケージ名を使用して、Composerがベンダーディレクトリ外およびプロジェクトの外部に書き込む可能性があります。この問題はバージョン 2.2.29および 2.10.2で修正されています。(CVE-2026-59948)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3105-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-45793:Github Actionsは、GitHub Actionsログで「GITHUB_TOKEN」漏えいを発行しました(bsc#1271504)。
    - CVE-2026-59946:パッケージ「bin」フィールドのパストラバーサルにより、依存関係は任意のホストファイルを「chmod」できます(bsc#1271151)。
    - CVE-2026-59947:URL 埋め込み HTTP-Basic ユーザー名が冗長ログに漏洩(bsc#1271129)。
    - CVE-2026-59948:悪意のある推移的なパッケージ名による「vendor」ディレクトリ外の任意ファイルの書き込み(bsc#1271122)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21520-1 アドバイザリで言及されています。

    - CVE-2026-45793:Github Actionsは、GitHub Actionsログで「GITHUB_TOKEN」漏えいを発行しました(bsc#1271504)。
    - CVE-2026-59946:パッケージ「bin」フィールドのパストラバーサルにより、依存関係は任意のホストファイルを「chmod」できます(bsc#1271151)。
    - CVE-2026-59947:URL 埋め込み HTTP-Basic ユーザー名が冗長ログに漏洩(bsc#1271129)。
    - CVE-2026-59948:悪意のある推移的なパッケージ名による「vendor」ディレクトリ外の任意ファイルの書き込み(bsc#1271122)。

    php-composer2 の変更:

    - s390x のバイトスワップされた署名が壊れたり、サポートされない署名を引き起こす可能性がある問題を修正します(bsc#1271729)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Composer は、PHP 言語の依存関係マネージャーです。2.2.29および2.10.2より前では、「.. パスセグメントを含むComposerパッケージbinエントリは、パッケージインストールディレクトリの外部で解決され、ComposerのバイナリインストールフローがComposerのインストール、更新、または要求中に既存のホストファイルを誰でも読み込み可能かつ実行可能なモードにchmodする可能性があります。この問題は、バージョン 2.2.29 および 2.10.2 で修正されています。
    (CVE-2026-59946)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
349186	SUSE SLES15 セキュリティ更新:php-composer2(SUSE-SU-2026:4283-1)	Nessus	SuSE Local Security Checks	2026/9/23	2026/9/24	high
328484	Amazon Linux 2023 : composer (ALAS2023-2026-1941)	Nessus	Amazon Linux Local Security Checks	2026/7/20	2026/7/20	high
327741	SUSE SLES15 セキュリティ更新:php-composer2(SUSE-SU-2026:3105-1)	Nessus	SuSE Local Security Checks	2026/7/18	2026/7/18	medium
332103	openSUSE 16 セキュリティ更新:php-composer2(openSUSE-SU-2026:21520-1)	Nessus	SuSE Local Security Checks	2026/8/5	2026/8/5	medium
325955	Linux Distros のパッチ未適用の脆弱性: CVE-2026-59946	Nessus	Misc.	2026/7/9	2026/9/7	medium

検出

プラグインの検索

high

high

medium

medium

medium